BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Abusando da permissão SeTrustedCredmanAccessPrivilege para extrair credenciais de usuário

O programa oferece a capacidade de extrair as credenciais armazenadas que um usuário possa ter no Gerenciador de Credenciais do Windows.

É uma técnica útil nos casos em que existe um shell elevado e vários usuários estão atualmente conectados.

Passos

1. Encontra o processo WinLogon correto do usuário do qual queremos extrair as credenciais
2. Abre o processo WinLogon com acesso PROCESS_QUERY_LIMITED_INFORMATION
3. Duplica o token com acesso TOKEN_DUPLICATE
4. Converte o token em token de impersonação
5. Habilita a permissão SeTrustedCredmanAccessPrivilege
6. Abre o processo alvo do usuário
7. Rouba e personifica o usuário alvo
8. Chama CredBackupCredentials enquanto personifica o token WinLogon, passando um caminho para gravar e uma senha NULL para desabilitar a criptografia do usuário
9. Ainda personificando, abre o arquivo e o descriptografa usando a API CryptUnprotectData
10. Exclui o arquivo

Uso

backupcreds [PID of target user] [path to save file]

Deve ser executado a partir de um contexto elevado.

OPSEC

Atualmente grava no disco em um caminho fornecido pelo operador. Excluirá o caminho assim que terminar. Acessa o WinLogon.

Créditos

• Baseado em https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Usa partes do SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• Agradecimentos ao @eksperience por ajudar com o parsing e à Nettitute RT